Privacy engineering — ডেটা কমানো, GDPR আর বাংলাদেশের উপাত্ত আইন

১ · Privacy আর security — একই জিনিস নয়

আপনি ব্যাংকের লকারে কিছু রাখলেন। লকারটি খুব মজবুত, দারোয়ান সজাগ, চাবি দুটি। এটি security. এবার ধরুন ব্যাংকের ম্যানেজার আপনার লকারের জিনিসের তালিকা করে বীমা কোম্পানিকে বিক্রি করে দিলেন। কোনো চোর ঢোকেনি, তালা ভাঙেনি। তবু আপনি ঠকেছেন। এটি privacy-র সমস্যা।

Security রক্ষা করে অননুমোদিত মানুষের হাত থেকে। Privacy প্রশ্ন তোলে অনুমোদিত মানুষের আচরণ নিয়েও: এই তথ্য নেওয়ার দরকার ছিল কি? যে কারণে নেওয়া হয়েছিল, সে কারণেই কি ব্যবহার হচ্ছে? মানুষটি কি জানেন? পর্ব ২-এর confidentiality ছাড়া privacy টেকে না। কিন্তু উল্টোটি সত্য নয়। পুরোপুরি encrypted, পুরোপুরি নিরাপদ একটি system-ও মানুষের ওপর গোপনে নজরদারি করতে পারে।

Privacy engineering মানে এই প্রশ্নগুলোকে আইনি কাগজে ফেলে না রেখে system-এর নকশায় বসানো: কোন field নেওয়া হবে, কতদিন থাকবে, কে দেখবেন, কীভাবে মুছবে।

কোন ডেটা ব্যক্তিগত, কোনটি সংবেদনশীল

Personal data বা ব্যক্তিগত ডেটা মানে এমন তথ্য, যা দিয়ে একজন মানুষকে চেনা যায় বা চেনা সম্ভব। নাম, ফোন, ঠিকানা স্পষ্ট। কিন্তু device id, IP address বা লোকেশনের ইতিহাসও অন্য তথ্যের সাথে মিলিয়ে মানুষ চিনিয়ে দিতে পারে। আইনভেদে সীমারেখা আলাদা, তাই সন্দেহ হলে ব্যক্তিগত ধরে নকশা করাই নিরাপদ।

Sensitive personal data হলো সেই ডেটা, যা ফাঁস হলে ক্ষতি বেশি: স্বাস্থ্য, ধর্মবিশ্বাস, রাজনৈতিক মত, biometric, অপরাধের রেকর্ড। অফিসের রেজিস্টার খাতায় নাম লেখা এক কথা, রোগের নাম লেখা আরেক কথা। আইন এখানে কড়া শর্ত দেয়।

ভূমিকাগুলোও জেনে রাখুন। যাঁর তথ্য, তিনি data subject. যে প্রতিষ্ঠান ঠিক করে কেন আর কীভাবে ডেটা ব্যবহার হবে, সে data controller. বাংলাদেশের আইনে এর কাছাকাছি শব্দ উপাত্ত-জিম্মাদার. আর যে অন্যের হয়ে ডেটা নিয়ে কাজ করে, সে data processor. বাইরের courier বা cloud সেবা প্রায়ই এই ভূমিকায় থাকে।

২ · নীতি আর নকশা — privacy by design আর LINDDUN

Privacy-র নীতিগুলো নতুন নয়। ১৯৮০ সালের OECD Privacy Guidelines থেকে আজকের আইন পর্যন্ত প্রায় একই কথা ঘুরে আসে। GDPR-এর Article 5-এর ভাষায় সাতটি নীতি নিচে দেওয়া হলো।

Privacy by design

Privacy by design ধারণাটি কানাডার Ontario-র তৎকালীন Information and Privacy Commissioner Ann Cavoukian-এর। ১৯৯০-এর দশকে তিনি এই চিন্তা শুরু করেন, পরে সাতটি মূল নীতি প্রকাশ করেন। সার-কথা: বাড়ি বানানোর পরে দেয়াল কেটে তার টানার চেয়ে নকশার সময় তারের পথ রাখাই সস্তা। সাত নীতি সংক্ষেপে:

1. ঘটনার আগেই প্রতিরোধ, পরে প্রতিকার নয়।
2. Default-ই privacy: মানুষটি কিছু না করলেও তিনি সুরক্ষিত থাকেন।
3. নকশার ভেতরেই privacy, পরে জোড়া দেওয়া নয়।
4. পূর্ণ কার্যকারিতা: privacy বনাম সুবিধার দ্বন্দ্ব নয়, দুটিই।
5. শুরু থেকে শেষ পর্যন্ত নিরাপত্তা, মুছে ফেলা পর্যন্ত।
6. দৃশ্যমানতা আর স্বচ্ছতা।
7. ব্যবহারকারীকে কেন্দ্রে রাখা।

LINDDUN — privacy-র threat modeling

পর্ব ৪-এ STRIDE দেখেছেন, আর সেখানেই LINDDUN-এর নাম এসেছে। পদ্ধতি একই: data flow diagram এঁকে প্রতিটি অংশে প্রশ্ন করা। শুধু প্রশ্নগুলো privacy-র। একটি কাল্পনিক অনলাইন বাজারের “রাইডারের লাইভ লোকেশন” feature ধরে সাত শ্রেণি দেখুন।

লক্ষ করুন, এই তালিকায় কোনো হ্যাকার নেই। সব ঝুঁকিই আসে system ঠিকঠাক চলার সময়।

৩ · ডেটার মানচিত্র — কমানো, উদ্দেশ্য, মেয়াদ আর মোছা

যে ডেটার খোঁজ আপনি জানেন না, তাকে রক্ষা করা যায় না, মুছে ফেলাও যায় না। তাই কাজ শুরু হয় data inventory দিয়ে: কোন system-এ কোন field, কেন, কে দেখেন, কতদিন, কার কাছে যায়। গুদামের স্টক খাতার মতো। খাতা না থাকলে দোকানি জানেন না কোন মাল মেয়াদোত্তীর্ণ। GDPR-এর Article 30-এর record of processing এই খাতারই আনুষ্ঠানিক রূপ।

Inventory-র সাথে লাগে মানচিত্র: ডেটা কোন পথে কোথায় যায়। যেসব জায়গা খাতায় ওঠে না: ticket-এর screenshot, spreadsheet-এর export, test database, log-এর ফোন নম্বর আর ল্যাপটপের CSV. পর্ব ৫৫-এ log-এ কী রাখবেন আর কী রাখবেন না, দেখেছেন।

Inventory পেলে চারটি কাজ করা যায়:

• কমানো: জন্মতারিখের বদলে “১৮-র বেশি কি না”, সঠিক ঠিকানার বদলে থানা। লেখার জায়গা না থাকলে ফাঁসও হবে না।
• উদ্দেশ্য বাঁধা: Delivery-র জন্য নেওয়া ফোন বিজ্ঞাপনে নয়। প্রতিটি field-এর পাশে উদ্দেশ্য লেখা থাকে।
• মেয়াদ বাঁধা: Retention নিয়ম লেখা থাকে, আর একটি scheduled job সত্যিই মোছে। নিয়ম আছে কিন্তু job নেই, এটিই সবচেয়ে সাধারণ ব্যর্থতা।
• মোছা প্রমাণ করা: Backup, replica, search index, cache, vendor-এর কপি ধরে হিসাব। Backup থেকে এক সারি মোছা কঠিন হলে key মুছে দেওয়ার পদ্ধতি crypto-shredding কাজে লাগে।

নিচের ছোট report একটি কাল্পনিক অনলাইন বাজারের খাতা পরীক্ষা করে। কোনো সত্যিকারের system পড়া হচ্ছে না। উদ্দেশ্য নেই, অথবা মেয়াদ পেরিয়েছে, এমন field ধরে।

// Toy data inventory of a fictional online bazaar. No real system is read.
const inventory = [
  // system, field, class, purpose, keepDays (policy), oldestDays (found)
  ['orders',   'phone',       'personal',  'delivery',  90, 1460],
  ['orders',   'address',     'personal',  'delivery',  90, 1460],
  ['orders',   'amount',      'finance',   'accounts', 1825, 1460],
  ['support',  'chat_text',   'personal',  'support',  365,  900],
  ['support',  'nid_photo',   'sensitive', 'kyc',       30,  700],
  ['app',      'gps_trail',   'sensitive', '',           0,  410],
  ['marketing','birth_date',  'personal',  '',           0, 1100],
  ['logs',     'client_ip',   'personal',  'security', 180,  175],
];

function review([sys, field, cls, purpose, keep, oldest]) {
  if (!purpose) return { sys, field, cls, action: 'STOP COLLECTING', over: oldest };
  if (oldest > keep) return { sys, field, cls, action: 'DELETE OLD ROWS', over: oldest - keep };
  return { sys, field, cls, action: 'ok', over: 0 };
}

const rows = inventory.map(review);
for (const r of rows) {
  const name = `${r.sys}.${r.field}`.padEnd(22);
  console.log(name, r.cls.padEnd(10), r.action.padEnd(16), String(r.over).padStart(5));
}
const bad = rows.filter(r => r.action !== 'ok');
const sens = bad.filter(r => r.cls === 'sensitive').length;
const worst = bad.reduce((a, b) => (b.over > a.over ? b : a));
console.log(`problems: ${bad.length} of ${rows.length}, sensitive: ${sens}`);
console.log(`worst: ${worst.sys}.${worst.field} is ${worst.over} days over`);

৪ · ছদ্মনাম, বেনামি, token আর mask

Pseudonymization মানে সরাসরি পরিচয়ের জায়গায় একটি ছদ্ম-পরিচয় বসানো, আর জোড়া দেওয়ার চাবি আলাদা রাখা। পরীক্ষার খাতায় নামের বদলে রোল নম্বর, আর রোল-নামের তালিকা অফিসের আলমারিতে। পরীক্ষক নাম জানেন না, কিন্তু অফিস জানে। তাই এটি এখনো ব্যক্তিগত ডেটা।

Anonymization মানে এমনভাবে বদলানো, যাতে কেউই আর যুক্তিসংগত উপায়ে মানুষটিকে চিনতে না পারেন, এমনকি ডেটার মালিকও নন। আলমারির তালিকা পুড়িয়ে দেওয়ার মতো, তবে সেটুকুই যথেষ্ট নয়। পরের অংশে দেখবেন কেন। GDPR-এর Recital 26 অনুযায়ী সত্যিকারের বেনামি তথ্য এই আইনের বাইরে, আর pseudonymized তথ্য ভেতরে।

Test environment সবচেয়ে অবহেলিত। Production-এর কপি test-এ নামালে সেখানে সব ডেটা আসে, কিন্তু নিরাপত্তা আসে না। ভালো অভ্যাস: test data হবে বানানো, অথবা নামানোর pipeline-এই mask করা। Mask করার সময় ফোনকে ফোনের মতো, তারিখকে তারিখের মতো রাখুন, আর একই গ্রাহক সব table-এ একই নকল মান পাক, যাতে join না ভাঙে।

Hash করলে কেন বেনামি হয় না

অনেকে ভাবেন, ফোন নম্বরের SHA-256 নিলেই কাজ শেষ। পর্ব ৯-এ দেখেছেন, hash function-এ কোনো গোপন key নেই। যে কেউ একই নম্বর থেকে একই hash পান। আসল সমস্যা ফোন নম্বরের সংখ্যা খুব কম। নিচের কোড আসল hashlib আর hmac চালায়, আর শেষে শুধু search space গোনে। কোনো অনুমান চালানো হয় না, সব নম্বর আর key বানানো।

# Keyed pseudonyms versus a plain hash. All numbers and keys are invented.
import hashlib
import hmac
import math

phones = ["01000000001", "01000000002"]   # fake, not a real operator prefix
key_orders = b"example-key-orders-not-real"
key_survey = b"example-key-survey-not-real"

def plain_hash(p):
    return hashlib.sha256(p.encode()).hexdigest()[:16]

def pseudonym(key, p):
    return hmac.new(key, p.encode(), hashlib.sha256).hexdigest()[:16]

for p in phones:
    print("plain :", plain_hash(p))
    print("orders:", pseudonym(key_orders, p))
    print("survey:", pseudonym(key_survey, p))
print("same input, same plain hash:",
      plain_hash(phones[0]) == plain_hash("01000000001"))

# Count the search space. Nothing is tried; this is only arithmetic.
prefixes = 7                  # assumed number of mobile prefixes
space = prefixes * 10**8      # 8 free digits after each prefix
rate = 10**9                  # assumed guesses per second
print(f"phone space : {space:,} = {math.log2(space):.1f} bits")
print(f"plain hash  : {space / rate:.1f} seconds at the assumed rate")

key_bits = 256
years = 2**key_bits / rate / (365 * 24 * 3600)
print(f"256-bit key : about 10^{int(math.log10(years))} years at that rate")

৫ · নাম মুছলেই কি মানুষ হারিয়ে যান? — k-anonymity আর তার সীমা

মহল্লায় বলা হলো, “রোগীর নাম বলব না, শুধু বলব ৮৭ বছরের একজন নারী, ওই গলিতে থাকেন।” সবাই বুঝে গেলেন কে। নাম ছাড়াই মানুষ চেনা যায়, কারণ কয়েকটি সাধারণ তথ্য মিলে অনন্য হয়ে ওঠে। এই তথ্যগুলোকে বলে quasi-identifier. এগুলো জুড়ে মানুষ চিনে ফেলাকে বলে re-identification.

k-anonymity কী

k-anonymity (Samarati ও Sweeney, ১৯৯৮) বলে: quasi-identifier একই, এমন প্রতিটি দলে অন্তত k জন থাকবেন। তাহলে যিনি বাইরে থেকে মেলাতে চান, তিনি k জনের দল পর্যন্ত পৌঁছান, একজন মানুষ পর্যন্ত নয়। বাড়তি তথ্য না থাকলে ঠিক সারিটি ধরার সম্ভাবনা সর্বোচ্চ ১/k. দুটি হাতিয়ার: generalization (বয়স ২৩ → 20s) আর suppression (অস্বাভাবিক সারি বাদ).

কিন্তু k একা যথেষ্ট নয়। একটি দলের পাঁচজনেরই রোগ যদি একই হয়, তবে কে কোন জন, তা জানার দরকারই নেই। একে বলে homogeneity সমস্যা। তাই এসেছে l-diversity (প্রতিটি দলে সংবেদনশীল মানের অন্তত l রকম) আর t-closeness (দলের বণ্টন পুরো ডেটার বণ্টনের কাছাকাছি). নিচের stepper-এ কাল্পনিক ক্লিনিকের ১০টি সারি ধরে ঝুঁকি কমানো দেখুন। শর্ত ধরা হয়েছে k ≥ ৪ আর l ≥ ৩.

এবার একই হিসাব কোডে। Checker নিজে দল বানিয়ে k আর l বের করে, ৮৭ বছরের সারিসহ আর সারি বাদে।

// k-anonymity checker on a toy table. All rows are invented.
const table = [
  [23,'F','A1','Flu'],    [27,'F','A2','Diabetes'], [25,'F','A2','Flu'],
  [29,'F','A1','Asthma'], [34,'M','B1','Cancer'],   [36,'M','B2','Cancer'],
  [38,'M','B1','Cancer'], [31,'M','A1','Flu'],      [35,'M','A2','Asthma'],
  [87,'F','B2','Flu'],
];
const decade = a => `${a - a % 10}s`;
const views = {
  'raw age+sex+zone  ': r => [r[0], r[1], r[2]],
  'decade+sex+zone   ': r => [decade(r[0]), r[1], r[2]],
  'decade+sex+region ': r => [decade(r[0]), r[1], r[2][0]],
  'decade+sex only   ': r => [decade(r[0]), r[1]],
};

function check(rows, qi) {
  const groups = new Map();
  for (const r of rows) {
    const key = qi(r).join('/');
    if (!groups.has(key)) groups.set(key, []);
    groups.get(key).push(r[3]);
  }
  const sizes = [...groups.values()].map(g => g.length);
  const kinds = [...groups.values()].map(g => new Set(g).size);
  return { groups: groups.size, k: Math.min(...sizes), l: Math.min(...kinds) };
}

const noOutlier = table.filter(r => r[0] < 80);   // suppress the 87-year-old
for (const [name, qi] of Object.entries(views)) {
  const a = check(table, qi), b = check(noOutlier, qi);
  console.log(name, `all10: k=${a.k} l=${a.l}`, `| no87: k=${b.k} l=${b.l}`,
              `groups=${b.groups}`);
}
const best = check(noOutlier, views['decade+sex only   ']);
console.log(`worst-case match chance: 1 in ${best.k} (${(100 / best.k).toFixed(0)}%)`);

৬ · Differential privacy — ফলের মধ্যে হিসাব করা শব্দ

ধরুন একটি গ্রামে জরিপ: “আপনি কি কর ফাঁকি দেন?” কেউ সত্য বলবেন না। তাই নিয়ম করা হলো: আগে কয়েন ছুড়ুন। হেড হলে সত্য বলুন, টেল হলে আবার ছুড়ে হ্যাঁ বা না বলুন। কোনো একজনের উত্তর এখন কিছুই প্রমাণ করে না, কারণ হয়তো সেটি কয়েনের ফল। তবু হাজার জনের গড় থেকে মোট হার হিসাব করা যায়। মানুষটি আড়ালে, পরিসংখ্যান দৃশ্যমান। এটিই differential privacy-র মূল চিন্তা।

Cynthia Dwork, Frank McSherry, Kobbi Nissim আর Adam Smith ২০০৬ সালে এটিকে গাণিতিক রূপ দেন। সংজ্ঞাটি সরল: একজন মানুষের তথ্য ডেটাসেটে থাকা বা না থাকার কারণে ফলের সম্ভাবনা সর্বোচ্চ e^ε গুণ বদলাতে পারবে। ε (epsilon) ছোট মানে সুরক্ষা বেশি, শব্দও বেশি।

একটি হিসাব, হাতে কলমে

প্রশ্ন: “কতজনের এই রোগ আছে?” আসল উত্তর ৪০. একজন মানুষ যোগ বা বাদ হলে গণনা সর্বোচ্চ ১ বদলায়, একে বলে sensitivity Δ = ১. Laplace mechanism ফলের সাথে Laplace শব্দ যোগ করে, যার scale b = Δ/ε.

1. ধরুন ε = ১, তাহলে b = ১/১ = ১.
2. একটি সমসম্ভাব্য সংখ্যা নিই: u = ০.৩, যা −০.৫ থেকে ০.৫-এর মধ্যে।
3. শব্দ = −b · sign(u) · ln(1 − 2|u|) = −১ · ১ · ln(০.৪) = +০.৯২.
4. প্রকাশিত ফল ৪০ + ০.৯২ = ৪০.৯২.
5. যাচাই: এই ফল সত্য গণনা ৪০ হলে এবং ৩৯ হলে কতটা সম্ভব? ঘনত্ব e^{−০.৯২} বনাম e^{−১.৯২}, অনুপাত e^১ ≈ ২.৭২. ঠিক e^ε সীমার মধ্যে। তাই ফল দেখে একজনের উপস্থিতি নিশ্চিত হওয়া যায় না।

কতটা ভুল হতে পারে? P(|শব্দ| > t) = e^−t/b. ৯৫% নিশ্চয়তার জন্য t = b · ln ২০ ≈ ৩b. তাই ε = ১ হলে ফল প্রায় ±৩-এর মধ্যে, আর ε = ০.১ হলে ±৩০-এর মধ্যে। ৪০ জনের গণনায় ±৩০ প্রায় অর্থহীন। ৪০ হাজার জনের গণনায় একই শব্দ নগণ্য। তাই DP ছোট দলের চেয়ে বড় পরিসংখ্যানে বেশি কাজের।

// Differential privacy count with Laplace noise. Seeded, so every run matches.
function mulberry32(a) {
  return () => {
    a |= 0; a = a + 0x6D2B79F5 | 0;
    let t = Math.imul(a ^ a >>> 15, 1 | a);
    t = t + Math.imul(t ^ t >>> 7, 61 | t) ^ t;
    return ((t ^ t >>> 14) >>> 0) / 4294967296;
  };
}
const rand = mulberry32(2026);
function laplace(b) {                  // inverse-CDF sampling
  const u = rand() - 0.5;
  return -b * Math.sign(u) * Math.log(1 - 2 * Math.abs(u));
}
const noisyCount = (truth, eps) => truth + laplace(1 / eps);  // sensitivity 1

const truth = 40;                      // people with a condition (invented)
for (const eps of [1, 0.1]) {
  const b = 1 / eps;
  const show = [1, 2, 3].map(() => noisyCount(truth, eps).toFixed(1));
  let within = 0, sum = 0;
  const trials = 20000, band = b * Math.log(20);
  for (let i = 0; i < trials; i++) {
    const e = Math.abs(laplace(b));
    sum += e;
    if (e <= band) within++;
  }
  console.log(`eps=${eps}: three releases ${show.join(', ')}`);
  console.log(`  mean error ${(sum / trials).toFixed(2)} (theory ${b}),`,
              `within +/-${band.toFixed(1)}: ${(100 * within / trials).toFixed(1)}%`);
}
// Same question asked many times: the budget adds up.
const asks = 100, each = 0.1;
console.log(`budget spent after ${asks} asks: eps=${(asks * each).toFixed(0)}`);

৭ · মানুষের হাতে নিয়ন্ত্রণ — consent, notice আর অধিকার

Consent মানে সম্মতি। তবে সব “Accept” বোতাম সম্মতি নয়। ভালো সম্মতি স্বাধীন, নির্দিষ্ট, জেনে দেওয়া আর স্পষ্ট ইতিবাচক কাজে দেওয়া। আর সম্মতি দেওয়ার মতোই সহজে ফিরিয়ে নেওয়া যায়। আগে থেকে টিক দেওয়া ঘরকে ইউরোপের আদালত ২০১৯ সালের Planet49 মামলায় বৈধ cookie সম্মতি বলে মানেননি।

Notice মানে মানুষকে জানানো: কী নিচ্ছেন, কেন, কতদিন, কাকে দিচ্ছেন, কীভাবে আপত্তি করবেন। ভালো notice ছোট, সহজ ভাষায় আর ঠিক কাজের মুহূর্তে আসে। Delivery-র ঠিকানা নেওয়ার ঘরের পাশে এক লাইন, ২০ পাতার দলিল নয়।

Dark pattern — নকশার ভেতরের চাপ

Dark pattern হলো এমন interface, যা মানুষকে তাঁর ইচ্ছার বাইরে সিদ্ধান্তের দিকে ঠেলে। শব্দটি UX গবেষক Harry Brignull ২০১০ সালে চালু করেন।

তথ্যের মালিকের অধিকার আর অনুরোধের কাজের ধারা

বেশিরভাগ আধুনিক আইনে মানুষ জানতে, কপি নিতে, ভুল ঠিক করাতে, আপত্তি করতে আর কিছু ক্ষেত্রে মুছে ফেলাতে পারেন। Right to erasure শব্দে সহজ, system-এ কঠিন। আপনি একটি অনুরোধের কাজের ধারা বানাবেন: কোথায় আসে, কে যাচাই করেন, কত দিনে, কী নথি থাকে। পরিচয় যাচাই জরুরি, নইলে প্রতারক অন্যের ডেটা চেয়ে নেবেন। আবার যাচাইয়ের নামে NID-র ছবি চাওয়াও নতুন ডেটা জমানো। যতটুকু লাগে, ততটুকু, যেমন account-এ লগইন।

নিচে একজন গ্রাহকের account মোছার অনুরোধ ছয়টি কাল্পনিক system-এ ধাপে ধাপে দেখুন।

৮ · GDPR-এর সার-কথা আর DPIA

GDPR (EU Regulation 2016/679) ২৫ মে ২০১৮ থেকে প্রযোজ্য। ইউরোপের মানুষকে পণ্য-সেবা দিলে বা তাঁদের আচরণ নজরে রাখলে বাইরের প্রতিষ্ঠানেও এটি খাটতে পারে। এখানে শুধু সার-কথা।

৭২ ঘণ্টার হিসাব পর্ব ৬১-এ করেছেন। EU-র Digital Omnibus প্রস্তাবে এই সময় ৯৬ ঘণ্টা আর শর্ত “উচ্চ ঝুঁকি” করার কথা আছে। ৩১ অক্টোবর ২০২৬-এ আমরা যা দেখেছি, তাতে এটি প্রস্তাব, আইন নয়। তাই পরিকল্পনা ৭২ ঘণ্টা ধরেই করুন, আর বর্তমান অবস্থা দেখে নিন।

DPIA — শুরুর আগে থামা

DPIA মানে Data Protection Impact Assessment. প্রশ্ন একটিই: এই কাজ মানুষের কী ক্ষতি করতে পারে, আর কীভাবে কমাবেন? নিচে একটি DPIA-ধরনের পর্যালোচনা। স্কোর আমাদের বানানো ৫ × ৫ স্কেলে: সম্ভাবনা × প্রভাব। প্রতিষ্ঠানের ধরে নেওয়া সীমা ১০.

৯ · বাংলাদেশের দুই উপাত্ত আইন — ৩১ অক্টোবর ২০২৬ পর্যন্ত যাচাই

দুটি আইনই গেজেটে ১০ এপ্রিল ২০২৬ তারিখের। পর্ব ৬-এ এদের জায়গা আর সাইবার সুরক্ষা আইন, ২০২৬ দেখেছেন।

• ব্যক্তিগত উপাত্ত সুরক্ষা আইন, ২০২৬ (৬৩ নং): মানুষের অধিকার আর প্রতিষ্ঠানের দায়িত্বের আইন। ধারা ১(৩) অনুযায়ী ধারা ২৩ আর ৩১ থেকে ৩৫ বাদে বাকি অংশ ৬ নভেম্বর ২০২৫ থেকে কার্যকর বলে গণ্য। ওই ধারাগুলো কার্যকর হবে আইন জারির ১৮ মাস পরে সরকারের গেজেট-নির্ধারিত তারিখে।
• জাতীয় উপাত্ত ব্যবস্থাপনা আইন, ২০২৬ (৮০ নং): ধারা ১(২) অনুযায়ী ৬ নভেম্বর ২০২৫ থেকে কার্যকর বলে গণ্য। এটি জাতীয় উপাত্ত ব্যবস্থাপনা কর্তৃপক্ষ (ধারা ৮) আর নীতি নির্ধারণী বোর্ড গঠন করে, আর প্রতিষ্ঠানগুলোর মধ্যে উপাত্ত আদান-প্রদানের (interoperability) কাঠামো দেয়। ৬৩ নং আইনের “কর্তৃপক্ষ” এই সংস্থাই (৬৩ নং আইনের ধারা ২(৪)).

শব্দ আলাদা, তাই ছোট অভিধান: data subject = উপাত্তধারী (আইনে শনাক্ত বা শনাক্তযোগ্য স্বাভাবিক ব্যক্তি, জীবিত বা মৃত); data fiduciary = উপাত্ত-জিম্মাদার; processor = প্রক্রিয়াকারী; pseudonymized data = ছদ্মনামকৃত উপাত্ত; retention = ধারণ.

* চিহ্নিত ধারাগুলো পরে কার্যকর হবে। ১০ এপ্রিল ২০২৬ থেকে ১৮ মাস পূর্ণ হয় ২০২৭ সালের অক্টোবরে, তাই যাচাইয়ের দিন পর্যন্ত এই সময় পূর্ণ হয়নি। তবে “এখন তো জরিমানা নেই” ভাবা ভুল হিসাব: অন্য দায়িত্বগুলো আইনের লেখায় আগে থেকেই কার্যকর, আর প্রকৌশলের কাজে সময় লাগে।

ডেটা দেশে রাখা নিয়ে: ৬৩ নং আইনের যে লেখা আমরা পড়েছি, তাতে ধারা ২৯ বিদেশে স্থানান্তরের শর্ত দেয়, আর ধারা ২৬ কর্তৃপক্ষকে বিদেশে সরবরাহ বন্ধ বা স্থগিত করার আদেশের ক্ষমতা দেয়। “সব ডেটা দেশেই রাখতে হবে” ধরনের সাধারণ বিধান আমাদের চোখে পড়েনি। তবে প্রবিধান আর খাতভিত্তিক নিয়ম আলাদা কথা বলতে পারে, যেমন আর্থিক খাতের নিয়ন্ত্রকের নির্দেশনা। তাই এই বাক্যকে চূড়ান্ত ধরবেন না।

৮০ নং আইন থেকে: ধারা ২৯ উপাত্ত-ভাণ্ডারের পাঁচটি ভাগের কথা বলে। ধারা ২৩(চ) অনুযায়ী NRDEX প্ল্যাটফর্মে আদান-প্রদানের আগে বৈধ তথ্য পুনর্ব্যবহার চুক্তির (Data Resharing Agreement) কথা আছে। ধারা ৪২(২)-এ এই আইন লঙ্ঘনে অনধিক ২৫ লক্ষ টাকা প্রশাসনিক জরিমানার বিধান আছে।

১০ · কর্মী নজরদারি, AI আর breach — AI-এর যুগে privacy

কর্মীর privacy

নিরাপত্তা দলের হাতে DLP, EDR আর email-এর log আছে। এগুলো insider threat ধরে, আবার কর্মীর ব্যক্তিগত জীবনেও উঁকি দিতে পারে। ভালো অভ্যাস: কর্মীকে আগেই জানান কী নজরে রাখা হয় ও কেন। ব্যক্তিগত বার্তা নয়, নিরাপত্তার সংকেত দেখুন। প্রথমে ছদ্মনামে বিশ্লেষণ, কারণ দেখে তবেই পরিচয় খোলা। নজরদারি যাঁরা করেন, তাঁদেরও audit log থাকবে। পর্ব ৫৫-এ এর আইনি উদাহরণ আছে।

AI আর ব্যক্তিগত ডেটা

AI-তে তিনটি নতুন প্রশ্ন আসে। এক, ব্যবহারকারীর ডেটা মডেল শেখাতে ব্যবহার করা কি মূল উদ্দেশ্যের ভেতরে? দুই, শেখা মডেল থেকে মুছবেন কীভাবে? গবেষণায় দেখা গেছে, মডেল অনেক সময় শেখার ডেটার অংশ মনে রাখে। তিন, স্বয়ংক্রিয় সিদ্ধান্ত: GDPR-এর Article 22-তে এর শর্ত আছে, আর ৬৩ নং আইনের ধারা ১১ ও ১৩-তেও স্বয়ংক্রিয় সিদ্ধান্তের কথা আছে। কর্মীরা AI সেবায় গ্রাহকের ডেটা পেস্ট করলে সেটিও একটি processor-এ ডেটা পাঠানো। বিস্তারিত পর্ব ৫১-এ।

Breach হলে

পরিকল্পনা পর্ব ৬১-এ দেখেছেন। Privacy-র দিক থেকে প্রথম প্রশ্ন তিনটি: কাদের, কোন ধরনের ডেটা, মানুষের কী ক্ষতি? জাতীয় CIRT-এ incident জানানোর সরকারি পথ পর্ব ৬-এ দেখেছেন, আর ৬৩ নং আইনের ধারা ২০ কর্তৃপক্ষকে জানানোর কথা বলে। দুটি পথ এক নয়, তাই plan-এ দুটিই রাখুন। Personal data breach শুধু ফাঁস নয়, ডেটা হারানোও হতে পারে।

AI সাধারণত যে ভুলগুলো করে

AI-এর পরামর্শ ব্যবহারের চেকলিস্ট

• Prompt-এ আসল ব্যক্তিগত ডেটা, key বা token দিইনি
• আইনের প্রতিটি ধারা মূল লেখায় মিলিয়েছি, আর তারিখ লিখে রেখেছি
• “Anonymous” দাবির পাশে search space বা k-র হিসাব আছে
• AI-এর কোডের diff পড়েছি, log আর test data দেখেছি
• মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষ নিয়েছেন